用途：该技能面向防御性恶意软件研究、威胁情报与事件响应，指导对可疑样本进行识别、静态分析、动态分析和 IOC 提取，并输出分析报告。
主要能力：文件识别（file、sha256sum）、字符串提取（strings、FLOSS）、加壳检测（diec、exeinfope）、导入表分析（rabin2 -i、dumpbin /imports）；静态分析使用 IDA Pro、Ghidra 或 Binary Ninja，定位入口点、执行流与网络/文件/注册表/进程能力；动态分析在 Windows 虚拟机中配合 Process Monitor、Wireshark、Regshot、API Monitor 或 x64dbg，并用 INetSim 或 FakeNet 模拟网络。还涵盖持久化、规避与 C2 通信技术梳理，沙箱平台（Cuckoo、ANY.RUN、Hybrid Analysis、Joe Sandbox、CAPE）、监控与脱壳工具（Unipacker、Scylla、OllyDumpEx、PE-sieve、UPX），以及网络、文件系统、注册表、进程类 IOC 和 YARA 规则示例。
使用方式：先明确目标、约束与输入，按识别、静态、动态、提取、报告流程推进，并验证结果。
适用场景：事件响应与取证、威胁情报研究、安全产品开发、学术研究、CTF。
限制：不得用于创建或分发恶意软件、未授权攻击、恶意规避安全产品、构建僵尸网络或 C2 基础设施；仅限防御与授权用途。具体平台、价格与效果资料暂未提供。